CVE-2026-28576: SQL-injektion i Android Contacts Provider

Sårbarheden CVE-2026-28576 findes i Contacts Provider, den indbyggede database i Android, hvor apps gemmer og henter kontaktoplysninger som navne, telefonnumre og e-mailadresser. Fejlen er en SQL-injektion, hvor en app kan sende en manipuleret forespørgsel til databasen og derved trække data ud, den ikke burde have adgang til. En app med lave rettigheder på enheden kan udnytte fejlen uden nogen handling fra brugeren. Det kræver dog, at den skadelige app allerede er installeret på enheden, da angrebet foregår lokalt og ikke over netværket.

Sårbarheden rammer enheder med Google Android 17.0. Det gælder både firmaejede og medarbejderejede telefoner og tablets, der bruges til arbejde, og hvor kontaktoplysninger fra kolleger, kunder eller samarbejdspartnere ligger i telefonens kontaktdatabase. Virksomheder, der har taget Android 17.0 i brug via MDM-løsninger (Mobile Device Management, styring af mobile enheder) eller almindelig udrulning, bør tjekke, om enheder kører den ramte version.

En skadelig app, der allerede er installeret på en medarbejders telefon, kan udtrække kontaktdatabasen uden at brugeren bemærker det. Det giver angriberen navne, telefonnumre og e-mailadresser på de personer, medarbejderen har gemt, herunder kunder og samarbejdspartnere. For en dansk virksomhed kan det betyde, at kunderelationer og kontaktoplysninger lækkes, hvilket kan udløse pligt til at underrette Datatilsynet, hvis der er tale om persondata.

CVSS-scoren er 5,5 ud af 10, moderat. Angrebet kræver lokal adgang, det vil sige at en app allerede er installeret på enheden, og lave rettigheder, men ingen handling fra brugeren. Kun fortrolighed er påvirket i høj grad, altså udelukkende risiko for informationslækage. Der er ingen risiko for, at data ændres eller enheden går ned. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, og der findes ikke offentligt kendt kode til at udnytte fejlen.

Følgende trin lukker hullet og reducerer risikoen:

1. Installer den nyeste sikkerhedsopdatering fra Google eller enhedens producent til Android 17.0. Det lukker selve sårbarheden.
2. Sørg for, at MDM-politikker begrænser installation af apps fra ukendte kilder på alle firmaenheder.
3. Gennemgå installerede apps på enheder med Android 17.0, og fjern apps, der ikke er nødvendige eller kommer fra ukendte udviklere.
4. Aktivér Google Play Protect og løbende scanning af enheder, hvis det ikke allerede er sat op.
5. Kontakt Auroa eller jeres it-leverandør, hvis I mangler overblik over, hvilke enheder der kører Android 17.0, eller hvis I ikke selv kan styre opdateringer centralt.